常见问题

Size: px

Start display at page:

Download "常见问题"

洒歹钱
5 years ago
Views:

1 虚拟专用网络常见问题文档版本 01 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保华为技术有限公司地址 : 深圳市龙岗区坂田华为总部办公楼邮编 : 网址 : 客户服务邮箱 : support@huawei.com 客户服务电话 : 文档版本 01 ( ) 版权所有华为技术有限公司 i

3 VPN 虚拟专用网络常见问题目录目录 1 一个用户下支持多少个 IPSec VPN? IPSec VPN 是否会自动进行协商? VPN 参考标准和协议有哪些? 如何解决 VPN 无法建立连接问题? VPN 连接建立后您的数据中心或局域网无法访问弹性云服务器? VPN 连接建立后, 弹性云服务器无法访问您的数据中心或局域网? VPN 支持将两个 VPC 互连吗? VPN 本端子网和远端子网数量有什么限制? 为什么 VPN 创建成功后状态显示未连接? VPN 配置下发后, 多久能够生效? 如何配置 VPN 对端设备?(HUAWEI USG6600 配置示例 ) 对端 VPN 设备支持列表? 文档版本 01 ( ) 版权所有华为技术有限公司 ii

6 VPN 虚拟专用网络常见问题 3 VPN 参考标准和协议有哪些? 3 VPN 参考标准和协议有哪些? 与 IPSec 特性相关的参考标准与协议如下 : RFC 4301:Security Architecture for the Internet Protocol RFC 2403:The Use of HMAC-MD5-96 within ESP and AH RFC 2409:The Internet Key Exchange (IKE) RFC 2857:The Use of HMAC-RIPEMD within ESP and AH RFC 3566: The AES-XCBC-MAC-96 Algorithm and its use with IPsec RFC 3625:More Modular Exponential (MODP)Diffie-Hellman groups for Internet Key Exchange (IKE) RFC 3664:The AES-XCBC-PRF-128 Algorithm for the Internet Key Exchange Protocol (IKE) RFC 3706:A Traffic-Based Method of Detecting Dead Internet Key Exchange (IKE) Peers RFC 3748:Extensible Authentication Protocol(EAP) RFC 3947:Negotiation of NAT-Traversal in the IKE RFC 4109:Algorithms for Internet Key Exchange version 1 (IKEv1) RFC 3948:UDP Encapsulation of IPsec ESP Packets RFC 4305:Cryptographic Algorithm Implementation Requirements for Encapsulating Security Payload (ESP) and Authentication Header (AH) RFC 4306:Internet Key Exchange (IKEv2)Protocol RFC 4307:Cryptographic Algorithms for Use in the Internet Key Exchange Version 2 (IKEv2) RFC 4322:Opportunistic Encryption using the Internet Key Exchange (IKE) RFC 4359:The Use of RSA/SHA-1 Signatures within Encapsulating Security Payload (ESP) and Authentication Header (AH) RFC 4434:The AES-XCBC-PRF-128 Algorithm for the Internet Key Exchange Protocol (IKE) RFC 4478:Repeated Authentication in Internet Key Exchange (IKEv2) RFC 5996:Internet Key Exchange Protocol Version 2 (IKEv2) 文档版本 01 ( ) 版权所有华为技术有限公司 3

7 VPN 虚拟专用网络常见问题 4 如何解决 VPN 无法建立连接问题? 4 如何解决 VPN 无法建立连接问题? 1. 检查云上和对端 VPN 的参数是否一致表 4-1 基本参数参数说明取值样例 PSK 预共享密钥 (Pre Shared Key), 取值范围为 6~128 位此项配置在 VPC 的 VPN 和您的数据中心的 VPN 中, 配置需要一致 Test@123 表 4-2 IKE 策略参数说明取值样例认证算法认证哈希算法, 支持的算法 :sha1 sha2-256 sha2-384 sha2-512 md5 默认配置为 :sha1 加密算法加密算法, 支持的算法 :aes-128 aes-192 aes-256 3des( 有安全风险不推荐 ) 默认配置为 :aes-128 sha1 aes-128 DH 算法 Diffie-Hellman 密钥交换算法, 支持的算法 :group2 group5 group14 默认配置为 :group5 group5 版本 IKE 密钥交换协议版本, 支持的版本 : v1 v2 默认配置为 :v1 v1 文档版本 01 ( ) 版权所有华为技术有限公司 4

8 VPN 虚拟专用网络常见问题 4 如何解决 VPN 无法建立连接问题? 参数说明取值样例生命周期 ( 秒 ) 协商模式安全联盟 (SA Secuity Associations) 的生存时间, 单位 : 秒在超过生存时间后, 安全联盟将被重新协商默认配置为 :86400 选择 IKE 策略版本为 v1 时, 可以配置协商模式, 取值支持 main aggressive 默认配置为 :main main 表 4-3 IPsec Policy 策略参数说明取值样例认证算法认证哈希算法, 支持的算法 :sha1 sha2-256 sha2-384 sha2-512 md5 默认配置为 :sha1 加密算法加密算法, 支持的算法 :aes-128 aes-192 aes-256 3des( 有安全风险不推荐 ) 默认配置为 :aes-128 sha1 aes-128 DH 算法传输协议生命周期 ( 秒 ) Diffie-Hellman 密钥交换算法, 支持的算法 :group2 group5 group14 默认配置为 :group5 IPSec 传输和封装用户数据时使用的安全协议, 目前支持的协议 :ah esp ah-esp 默认配置为 :esp 安全联盟 (SA Secuity Associations) 的生存时间, 单位 : 秒在超过生存时间后, 安全联盟将被重新协商默认配置为 :3600 group5 esp 检查 ACL 是否配置正确假设您的数据中心的子网为 /24 和 /24,VPC 下的子网为 /24 和 /24, 则你在数据中心或局域网中的 ACL 应对你的每一个数据中心子网配置允许 VPC 下的子网通信的规则, 如下例 : rule 1 permit ip source destination rule 2 permit ip source destination 文档版本 01 ( ) 版权所有华为技术有限公司 5

14 VPN 虚拟专用网络常见问题 9 为什么 VPN 创建成功后状态显示未连接? 9 为什么 VPN 创建成功后状态显示未连接? VPN 对接成功后两端的服务器或者虚拟机之间需要进行通信,VPN 的状态才会刷新为正常 IKE v1 版本 : 如果 VPN 连接经历了一段无流量的空闲时间, 则需要重新协商协商时间取决于 IPsec Policy 策略中的生命周期 ( 秒 ) 取值生命周期 ( 秒 ) 取值一般为 3600(1 小时 ), 会在第 54 分钟时重新发起协商若协商成功, 则保持则保持连接状态至下一轮协商若协商失败, 则在 1 小时内将状态设置为未连接, 需要 VPN 两端重新进行通信才能恢复为连接状态可以使用网络监控工具 ( 例如 IP SLA) 生成保持连接的 Ping 信号来避免这种情况发生 IKE v2 版本 : 如果 VPN 连接经历了一段无流量的空闲时间,VPN 保持连接状态文档版本 01 ( ) 版权所有华为技术有限公司 11

16 VPN 虚拟专用网络常见问题 11 如何配置 VPN 对端设备?(HUAWEI USG6600 配置示例 ) 11 如何配置 VPN 对端设备?(HUAWEI USG6600 配置示例 ) 因为隧道的对称性, 在云上的 VPN 参数和您的 VPN 中需要进行相同的配置, 否则会导致 VPN 无法建立连接在您自己数据中心的路由器或者防火墙上需要进行 IPSec VPN 隧道配置, 具体配置方法取决于您使用的网络设备, 请查询对应设备厂商的指导书本文以 Huawei USG6600 系列 V100R001C30SPC300 版本的防火墙的配置过程为例进行说明, 供参考假设数据中心的子网为 /24 和 /24,VPC 下的子网为 /24 和 /24,VPC 上 IPSec 隧道的出口公网 IP 为 XXX.XXX.XX.XX( 从 VPC 上 IPSec VPN 的本端网关参数上获取 ) 操作步骤 1. 登录防火墙设备的命令行配置界面 2. 查看防火墙版本信息 display version 17:20:502017/03/09 Huawei Versatile Security Platform Software Software Version: USG6600 V100R001C30SPC300(VRP (R) Software, Version 5.30) Copyright (C) Huawei Technologies Co., Ltd.. 3. 创建 ACL 并绑定到对应的 vpn-instance acl number 3065 vpn-instance vpn64 rule 1 permit ip source destination rule 2 permit ip source destination rule 3 permit ip source destination rule 4 permit ip source destination q 4. 创建 ike proposal ike proposal 64 dh group5 authentication-algorithm sha1 integrity-algorithm hmac-sha2-256 sa duration 3600 q 5. 创建 ike peer, 并引用之前创建的 ike proposal, 其中对端 IP 地址是 ike peer vpnikepeer_64 pre-shared-key ******** (******** 为您输入的预共享密码 ) ike-proposal 64 文档版本 01 ( ) 版权所有华为技术有限公司 13

VPN 虚拟专用网络常见问题 11 如何配置 VPN 对端设备?(HUAWEI USG6600 配置示例 ) undo version 2 remote-address vpn-instance vpn64 93.188.242.110 sa binding vpn-instance vpn64 q 6.

17 VPN 虚拟专用网络常见问题 11 如何配置 VPN 对端设备?(HUAWEI USG6600 配置示例 ) undo version 2 remote-address vpn-instance vpn sa binding vpn-instance vpn64 q 6. 创建 IPSec 协议 ipsec proposal ipsecpro64 encapsulation-mode tunnel esp authentication-algorithm sha1 q 7. 创建 IPSec 策略, 并引用 ike policy 和 ipsec proposal ipsec policy vpnipsec64 1 isakmp security acl 3065 pfs dh-group5 ike-peer vpnikepeer_64 proposal ipsecpro64 local-address xx.xx.xx.xx q 8. 将 IPSec 策略应用到相应的子接口上去 interface GigabitEthernet0/0/2.64 ipsec policy vpnipsec64 q 9. 测试连通性在上述配置完成后, 我们可以利用您在云中的主机和您数据中心的主机进行连通性测试, 如下图所示 : 文档版本 01 ( ) 版权所有华为技术有限公司 14

18 VPN 虚拟专用网络常见问题 12 对端 VPN 设备支持列表? 12 对端 VPN 设备支持列表? 满足 IPSEC VPN 标准和协议的设备, 大部分都可以对接 VPN 例如 :Cisco ASA 防火墙华为 USG6 系列防火墙 USG9 系列防火墙山石网科防火墙 Cisco ISR 路由器等对于华为 USG6 系列防火墙 USG9 系列防火墙具体设备列表如表 12-1 所示表 12-1 华为 VPN 设备列表对端支持列表 HUAWEI USG6 系列 HUAWEI USG9 系列说明 USG6320/6310/6510-SJJ USG6306/6308/6330/6350/6360/6370/6380/6390/6507/6530/65 50/6570:2048 USG6620/6630/6650/6660/6670/6680 USG9520/USG9560/USG9580 其他满足 3 VPN 参考标准和协议有哪些? 的设备, 也在支持列表中, 但是可能会因为设备对协议的实现方式不一致, 导致接入失败如果发现不能建立连接, 请参考 4 如何解决 VPN 无法建立连接问题?, 进行基本检查或联系技术支持人员文档版本 01 ( ) 版权所有华为技术有限公司 15

用户指南（海外区域）

用户指南（海外区域）虚拟专用网络用户指南 ( 海外区域 ) 文档版本 01 发布日期 2018-08-15 华为技术有限公司版权所有华为技术有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束,